shadow-rs 🦀

shadow-rs ist ein Windows-Kernel-Rootkit, geschrieben in Rust, das fortgeschrittene Techniken zur Kernel-Manipulation demonstriert und dabei die Sicherheits- und Leistungsmerkmale von Rust nutzt. Dieses Projekt ist für Bildungs- und Forschungszwecke bestimmt.

Inhaltsverzeichnis

• Hinweis
• Funktionen
• Installation
• Unterstützte Plattformen
• Build-Anleitung
  • Treiber
  • Client
• Einrichtungsanleitung
  • Testmodus aktivieren
  • Debuggen mit Windbg
  • Dienst erstellen/starten
• Haftungsausschluss
• Beiträge zu shadow-rs
• Referenzen
• Lizenz
• Mitwirkende

Hinweis

[!IMPORTANT]
Dieses Projekt befindet sich in der Entwicklung.

Funktionen

Prozess

• ✅ Prozesse verstecken und wieder sichtbar machen.
• ✅ Prozess-Signaturstufen ändern, um Geschützte Prozesse (PP) und Geschützte Prozess Light (PPL) zu behandeln.
• ✅ Prozesse vor Beendigung und Speicherauszug schützen.
• ✅ Prozessberechtigungen auf SYSTEM erhöhen, um vollständigen administrativen Zugriff zu gewähren.
• ✅ Zielprozesse beenden.
• ✅ Alle geschützten und versteckten Prozesse auflisten.

Thread

• ✅ Threads verstecken und wieder sichtbar machen.
• ✅ Threads vor Beendigung oder Aussetzung schützen.
• ✅ Alle geschützten und versteckten Threads auflisten.

Treiber

• ✅ Kernel-Mode-Treiber verstecken und wieder sichtbar machen.
• ✅ Alle geladenen Treiber auflisten.
• ✅ Treibersignaturerzwingung (DSE) aktivieren oder deaktivieren, um das Laden unsignierter Treiber zu ermöglichen.
• ✅ Treiberladen blockieren.

Callback

• ✅ Registrierte Callbacks für Prozesserstellung, Threaderstellung, Bild laden und Registrierungsoperationen auflisten.
• ✅ Bestimmte Callbacks entfernen oder wiederherstellen.
• ✅ Alle entfernten Callbacks auflisten.

Sonstiges

• ✅ Tastatureingaben in Echtzeit mit Kernel-Level-Interception erfassen.
• ✅ Microsoft-Windows-Threat-Intelligence (EtwTi) deaktivieren.
• ✅ Treiberartefakte aus Speicherabbildern im Falle eines BSOD bereinigen.
• ✅ Verschlüsselungsstrings kompilieren.
• ✅ Unterstützung für reflektives Treiberladen.

Benutzermodus-Code-Ausführung

• ✅ Shellcode oder DLLs mit ZwCreateThreadEx in Prozesse injizieren.
• ✅ Asynchroner Prozeduraufruf (APC)-Injektion zur Ausführung von Shellcode oder DLLs in alertablen Threads.
• ✅ Shellcode in Prozessen mittels Thread Hijacking ausführen.

Modul

• ✅ Module aus Prozessspeicherlisten verstecken.
• ✅ Alle geladenen Module auflisten.

Registrierung

• ✅ Registrierungsschlüssel und -werte verstecken und wieder sichtbar machen, um Erkennung und Manipulation zu verhindern.
• ✅ Registrierungsschutz anwenden, um Löschen oder Überschreiben von Schlüsseln oder Werten zu verhindern.

Netzwerk

• ✅ Netzwerkports vor netstat und ähnlichen Überwachungswerkzeugen verstecken und wieder sichtbar machen.

Installation

• Installieren Sie Rust von hier.
• Folgen Sie Microsofts Leitfaden, um Rust für die Kernel-Entwicklung einzurichten.

Unterstützte Plattformen

• ✅ Windows 10 / 11 (nur x64)

Build-Anleitung

Treiber

Navigieren Sie zum Treiber-Verzeichnis und bauen Sie den Kernel-Treiber:

cargo make default --release

[!IMPORTANT]
Hinweis: Der erste Build muss als Administrator ausgeführt werden. Nachfolgende Builds benötigen keine erhöhten Rechte.

Um die Mapping-Unterstützung für Tools wie kdmapper zu aktivieren, kompilieren Sie mit:

cargo make default --release --features mapper

Client

Navigieren Sie zum Client-Verzeichnis und bauen Sie den Benutzermodus-Client:

cargo build --release

Für Kompatibilität mit gemappten Treibern:

cargo build --release --features mapper

Einrichtungsanleitung

Testmodus oder Testsignierungsmodus aktivieren

bcdedit /set testsigning on

Dienst erstellen / starten

Sie können Service Control Manager oder OSR Driver Loader verwenden, um Ihren Treiber zu laden.

Debuggen

Verwenden Sie Windbg, um sich mit dem Kernel zu verbinden und die Treiberaktivität zu überwachen.

bcdedit /debug on
bcdedit /dbgsettings net hostip:<IP> port:<PORT>

Beiträge zu shadow-rs

Um zu shadow-rs beizutragen, gehen Sie wie folgt vor:

1. Forken Sie dieses Repository.
2. Erstellen Sie einen Branch: git checkout -b <branch_name>.
3. Nehmen Sie Ihre Änderungen vor und bestätigen Sie sie: git commit -m '<commit_message>'.
4. Senden Sie an den ursprünglichen Branch: git push origin <project_name> / <local>.
5. Erstellen Sie den Pull Request.

Alternativ konsultieren Sie die GitHub-Dokumentation zur Erstellung eines Pull Requests.

Haftungsausschluss

Dieses Projekt dient Bildungs- und Forschungszwecken. Eine böswillige Nutzung der Software ist strengstens untersagt und wird nicht unterstützt. Ich übernehme keine Verantwortung für Schäden, die durch unsachgemäße Nutzung der Software entstehen.

Referenzen

Ich möchte meine Dankbarkeit gegenüber diesen Projekten ausdrücken, die mich dazu inspiriert haben, shadow-rs zu erstellen und mit einigen Funktionen beizutragen:

• Hidden
• Nidhogg
• eagle-rs
• Banshee
• ReadWriteDriverSample

Weitere wesentliche Ressourcen:

Diese Materialien und Forschungen waren von unschätzbarem Wert, um mein Verständnis der Windows-Kernel-Entwicklung zu vertiefen:

• UnKnoWnCheaTs
• Reactos
• Blinding EDR On Windows
• Windows Kernel Programming - Pavel
• Rootkit Arsenal Escape Evasion Corners
• Rootkits Subverting Windows Greg Hoglund
• Rootkits Bootkits Reversing Malware Generation
• Memory Forensics
• Leveraging Rootkits for Post-Exploitation - Black Hat

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert. Weitere Informationen finden Sie in der Lizenzdatei.

Mitwirkende